# Firewall ( Poste Bureautique) **URL:** \ **Category:** Support Debian\ **Created:** [Décembre 20, 2020, 11:14 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577 "2020-12-20T11:14:18Z")\ **Posts on this page:** 20\ **Page:** 2
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 22, 2020, 4:23 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/21 "2020-12-22T16:23:04Z")
Alors, oui, sur un réseau pas sûr il faut prendre des précautions Si t’as Free tu as un VPN (pas que chez Free d’ailleurs) 😉 On peut ajouter un serveur DNS correct (j’utilise NextDNS qui me fait une sorte de pi-hole, mais les puristes proposent parfois d’autres solutions). Il est aussi judicieux de sécuriser son navigateur (entre autres en désactivant les punycodes) ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Décembre 22, 2020, 4:43 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/22 "2020-12-22T16:43:27Z")
> [@anon81880513](#): > > Pour un poste bureautique, qu’est ce qui serait le plus judicieux pour le sécuriser au maximum dans son ensemble avec un installation Debian minimale ou l’on ajoute que les logiciels dont on a besoin et une imprimante Ta Debian est déjà sécurisée. Le règles sont toujours les mêmes : - faire les mises à jour dès qu’elles ont disponibles (surtout celles de sécurité) ; - éviter d’installer de trucs en dehors des dépôts officiels Debian ; - éviter d’installer des services que l’on ne maîtrise pas du tout ; - … Tant que tu ne t’amuse pas à installer des logiciels serveurs web, ftp, courrier etc. (et encore) tu n’as aucunement besoin de pare-feu. > [@grandtoubab](#): > > Comm d’hab on ne pense pas au gens qui sont itinérants et qui utilisent le wifi d’un commerçant, d’un café, d’unr gare,etc > Que savez vous alors de la sécurité de ces environnements? La pare-feu n’est d’aucune utilité dans ce cas. Quand on est pas sur un réseau de confiance on fait bien attention à utiliser des protocoles sécurisés : HTTPS systématiquement par exemple. > [@grandtoubab](#): > > Dans un immeuble les gens ont des serrures voir des blindages à chaque porte pourtant d’aucun pourrait leur dire ça ne sert à rien il y a un digicode à la porte de l’immeuble… Analogie foireuse. Tant qu’il n’y a aucun service en écoute vers l’extérieur sur ta machine, il n’y a aucune porte. > [@grandtoubab](#): > > Donc moi je persiste , mettez un firewall sur votre pc. Et si ç’est inutile ça gêne en quoi le fonctionnement du pc? Relis mon lien sur la RFC 7228 et parcours un peu les forums pour voir tous les problèmes de partage de fichiers ou d’imprimante sur un réseau local qui sont dus à la présence de pare-feu sur toutes les machines. ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 22, 2020, 4:55 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/23 "2020-12-22T16:55:52Z")
> [@grandtoubab](#): > > `sudo netstat -apet` Tiens : il y a tout le Bénin (156.0.xx.xx) qui frappe à la porte chez moi, dis donc (je ne suis pas du tout au Bénin, ni n’utilise un FAI béninois, ni ne suis en Afrique) ```auto ~]$ sudo netstat -apet | grep root tcp 0 0 localhost:domain 0.0.0.0:* LISTEN root 24606 717/nextdns tcp 0 0 localhost:ipps 0.0.0.0:* LISTEN root 23082 715/cupsd tcp 0 334 ordi1.local:57407 156.0.214.34:25842 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:52232 46.235.231.150:https TIME_WAIT root 0 - tcp 0 0 ordi1.local:39572 fra16s14-in-f14.1:https TIME_WAIT root 0 - tcp 0 160 ordi1.local:57517 156.0.212.20:27672 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:52334 46.235.231.150:https TIME_WAIT root 0 - tcp 0 0 ordi1.local:48928 fra15s17-in-f13.1:https TIME_WAIT root 0 - tcp 0 0 ordi1.local:51378 aur.archlinux.org:https TIME_WAIT root 0 - tcp 0 69 ordi1.local:53769 ptr-178-50-168-17:53730 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:54341 156.0.213.2:52873 FIN_WAIT1 root 0 - tcp 0 255 ordi1.local:43565 156.0.212.28:14972 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:40886 vmi443919.contabo:https TIME_WAIT root 0 - tcp 0 0 ordi1.local:40818 vmi443919.contabo:https TIME_WAIT root 0 - tcp 0 69 ordi1.local:58953 156.0.212.28:14972 FIN_WAIT1 root 0 - tcp 0 606 ordi1.local:43123 m213-101-14-165.cu:5524 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:56616 178.255.153.47:https ESTABLISHED root 3944351 - tcp 0 69 ordi1.local:59151 156.0.212.20:27672 FIN_WAIT1 root 0 - tcp 0 471 ordi1.local:49795 ptr-178-50-235-99:53722 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:41469 156.0.212.28:14972 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:46181 156.0.213.2:52873 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:55945 223.27.246.180:24981 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:59572 web.npulse.net:https TIME_WAIT root 0 - tcp 0 119 ordi1.local:33759 223.27.246.180:24981 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:37665 156.0.214.34:25842 FIN_WAIT1 root 0 - tcp 0 0 ordi1.local:52402 46.235.231.150:https TIME_WAIT root 0 - tcp 0 457 ordi1.local:41577 ptr-178-50-168-17:53730 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:56173 156.0.214.34:25842 FIN_WAIT1 root 0 - tcp 0 69 ordi1.local:36925 223.27.246.180:24981 FIN_WAIT1 root 0 - tcp 0 536 ordi1.local:44509 156.0.213.2:52873 FIN_WAIT1 root 0 - ``` C’est l’autrichien ( 178.255.xx.xx) avec une connexion établie qui me titille un peu plus (là suis sur ma Manjaro) Ma Debian est moins fréquentée mais pas moins titillante : ```auto ~$ sudo netstat -apet | grep root tcp 0 0 localhost:ipp 0.0.0.0:* LISTEN root 20930 665/cupsd tcp 0 0 192.168.1.54:47462 any-in-2615.1e100:https ESTABLISHED root 41988 735/nextdns tcp 0 0 192.168.1.54:47938 194.110.115.97:https ESTABLISHED root 41587 735/nextdns tcp 0 32 192.168.1.54:51388 ec2-34-216-198-14:https FIN_WAIT1 root 0 - tcp 1 0 192.168.1.54:40666 192.168.1.25:ipp CLOSE_WAIT root 28166 726/cups-browsed tcp 0 0 192.168.1.54:53494 ec2-44-236-152-85:https TIME_WAIT root 0 - tcp6 0 0 [::]:domain [::]:* LISTEN root 22804 735/nextdns tcp6 0 0 localhost:ipp [::]:* LISTEN root 20929 665/cupsd tcp6 0 0 2a02:a03f:46a1:fe:60994 2a0d:5642:115:197:https ESTABLISHED root 44531 - ``` ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Décembre 23, 2020, 7:50 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/24 "2020-12-23T07:50:04Z")
```auto whois 156.0.214.34 Organization: African Network Information Center (AFRINIC) City: Ebene address: Avenue Jean Paul II Immeuble ETISALAT BENIN ``` Avenue JP2 les voies du seigneur sont impénétrables 🤣 🤣 🤣 ```auto whois 46.235.231.150 descr: AMS colocated customers country: NL ``` ```auto whois 178.255.153.47 role: ANEXIA RIPE NCC Role Handle ``` > [@](#): > > Anexia is > > Anexia offers high-quality customized solutions for web and managed hosting as well as individual software and app development. The company was founded in 2006 in Klagenfurt, Austria. Today, it has additional offices in Vienna, Graz, Munich, Cologne and New York City to serve numerous international customers. etc,etc C’est vrai que c’est assez marrant de voir ce qui est ouvert sur un ordi Sur ma session sans activité, tout va bien ```auto root@debian:~# netstat -apet Connexions Internet actives (serveurs et établies) Proto Recv-Q Send-Q Adresse locale Adresse distante Etat Utilisatr Inode PID/Program name tcp 0 0 0.0.0.0:sunrpc 0.0.0.0:* LISTEN root 10875 1/systemd tcp 0 0 localhost:domain 0.0.0.0:* LISTEN root 21811 6230/dnsmasq tcp 0 0 0.0.0.0:ipp 0.0.0.0:* LISTEN root 20989 6184/cupsd tcp 0 0 localhost:smtp 0.0.0.0:* LISTEN root 21182 6636/exim4 tcp6 0 0 [::]:sunrpc [::]:* LISTEN root 10879 1/systemd tcp6 0 0 [::]:ipp [::]:* LISTEN root 20990 6184/cupsd root@debian:~# ``` Dès que je lance Firefox sur la page d’accueil je vois du google (whois 34.107.221.82) et de l’Amazon (whois 99.84.41.70) , c’est infernal 😂 Il y a de quoi s’amuser avec / sans extensions, sur un profil vierge… ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 23, 2020, 9:17 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/25 "2020-12-23T09:17:49Z")
Je lis que netstat est obsolète, alors il y a d’autres jouets : ```auto sudo ss -r | grep -v '*' ``` et ```auto sudo lsof -u root | grep -i listen ``` par exemple. Mais ça ne dit pas forcément si c’est légitime 😉 ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Décembre 23, 2020, 9:40 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/26 "2020-12-23T09:40:14Z")
c’est souvent affirmé sur des blogs mais tant que l’outil est disponible dans Debian je m’en servirai, son compte-rendu est beaucoup plus lisible pour moi. > **[Debian -- Détails du paquet net-tools dans bullseye](https://packages.debian.org/fr/bullseye/net-tools)** ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Décembre 23, 2020, 9:42 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/27 "2020-12-23T09:42:02Z")
Mon dieu quand on utilise un navigateur web on observe des connexions vers d’autres machines ! Vite un pare-feu, un anti-virus, un anti-malouère, et pleins d’anti-trucs ! 😆 > [@nam1962](#): > > C’est l’autrichien ( 178.255.xx.xx) avec une connexion établie qui me titille un peu plus Probablement un truc que tu as installé (extension du navigateur ou autre) lié au DNS ⇒ \*.nextdns.io Sinon à voir autant de connexions vers des ports non privilégiés, cela suggère la présence d’une application fonctionnant en P2P (torrent ?). ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Décembre 23, 2020, 9:55 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/28 "2020-12-23T09:55:17Z")
La sortie de `ss` est certes parfois un peu moins lisible que celle de `netstat` mais elle peut donner d’autres informations utiles grâce aux très nombreuses options. ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 23, 2020, 10:02 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/29 "2020-12-23T10:02:24Z")
Arf ouiche ! c’est NextDNS (dont le but, comme dit plus haut est de me protéger des DNS menteurs et de quelques listes d’indésirables) Il est d’ailleurs amusant de voir ce que ça fait : 1. les ordis 2. le téléphone Ça permet de voir : - que le DNSSEC dont on nous rebat parfois les oreilles est anecdotique - que même sous des ordis purs Linux, M$ se présente partout sur le net - que par contre la téléphonie Apple est très efficace à éradiquer M$ 😛 ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 23, 2020, 11:39 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/30 "2020-12-23T11:39:38Z")
> [@anon70622873](#): > > Relis mon lien sur la RFC 7228 et parcours un peu les forums pour voir tous les problèmes de partage de fichiers ou d’imprimante sur un réseau local qui sont dus à la présence de pare-feu sur toutes les machines. Question de politique de sécurité. Si tu as beaucoup de PC qui partagent des données alors tu met un serveur de fichier. Le partage de fichier sur les poste de travail est toujours une porte ouverte et souvent la cause de bien des problèmes de sécurité (à minima). Ensuite, quelques petites lignes de codes dans une page web suffisent à ouvrir un port d’écoute, un trojan en quelque sorte, sur linux comme sur windows. Sans parefeu, le pc est instantanément accessible. Quand en plus c’est sur un réseau ouvert c’est encore pire. Par ailleurs, sur un réseau autre que le sien, rien ne permet d’affirmer qu’on ne passe pas par un proxy/portail captif ou autre qui espionnes les requetes/données/etc.. et qui pourra ainsi polluer les pages web pour y inserer du code de type trojan. Dans ces cas, le parefeu n’empechera pas le trojan d’etre présent, mais le parefeu lui bloquera les accès sur le port ainsi ouvert. la règle simple du Exterieur vers PC interdit, pc vers exterieur autorisé est la règle minimale. Ensuite, pour les histoires de partage de fichier, n’existe-t-il pas une fonctionnalité qui ouvre les ports nécessaires quand on créée un partage (comme sous windows). Enfin, les VPN ne sont pas forcement autorisés partout. Chez moi par exemple, ils sont interdit à moins d’être explicitement autorisés. > [@nam1962](#): > > que le DNSSEC dont on nous rebat parfois les oreilles est anecdotique C’est surtout parce qu’il n’est pas implémenté. Les DNS sont parmi les services les plus mal protégés sur internet. ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 23, 2020, 12:33 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/31 "2020-12-23T12:33:27Z")
> [@Zargos](#): > > Chez moi par exemple, ils sont interdit à moins d’être explicitement autorisés. Donc tu ne pourrais pas accéder à un VPN privé genre une box Free ? Et quid des proxys ? ---
**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\ **Post date:** [Décembre 23, 2020, 12:43 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/32 "2020-12-23T12:43:17Z")
mettre une extension dans firefox pour gérer ses dns?? burp j’ai choisi un dns serieux, je le mets dans la conf reseau de mon pc, toujours la même logique: en itinérance je ne vaux pas être tributaire de l’hôte ```auto nmcli | grep DNS -A1 DNS configuration: servers: 127.0.0.1 64.6.64.6 80.67.188.188 ``` ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Décembre 23, 2020, 12:52 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/33 "2020-12-23T12:52:02Z")
> [@Zargos](#): > > Question de politique de sécurité. Si tu as beaucoup de PC qui partagent des données alors tu met un serveur de fichier. > Le partage de fichier sur les poste de travail est toujours une porte ouverte et souvent la cause de bien des problèmes de sécurité (à minima). Il faut distinguer les usages domestiques ou en TPE des usages professionnels. Le partage de fichiers depuis un poste de travail (NFS ou Samba) n’est pas un problème s’il est correctement configuré et limité au réseau local. Si un pare-feu est nécessaire il doit se situer entre l’Internet et le réseau local (box de l’opérateur ou machine dédiée), pas sur les postes de travail ! > [@Zargos](#): > > Ensuite, quelques petites lignes de codes dans une page web suffisent à ouvrir un port d’écoute, un trojan en quelque sorte… **Montre-nous le code.** Et s’il était si facile d’installer un cheval de Troie sur une machine, il serait alors tout aussi simple pour celui-ci de désactiver ou de contourner les règles du pare-feu. ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 23, 2020, 1:34 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/34 "2020-12-23T13:34:42Z")
> [@grandtoubab](#): > > mettre une extension dans firefox pour gérer ses dns? Uhh, qui met une extensions dans FF pour gérer ses DNS ? (il y a bien un réglage DNS dans FF mais très insuffisant) ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 23, 2020, 11:26 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/35 "2020-12-23T23:26:39Z")
> [@nam1962](#): > > Donc tu ne pourrais pas accéder à un VPN privé genre une box Free ? > Et quid des proxys ? de mon pc se connecter à une box free chez qqn d’autre en vpn tu ne peux pas en effet; pour les proxy? utiliser un proxy externe, pareil si ce n’est pas explicitement paramétré. ceci dit j’ai le mien de proxy. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 23, 2020, 11:32 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/36 "2020-12-23T23:32:30Z")
> [@anon70622873](#): > > **Montre-nous le code.** > > Et s’il était si facile d’installer un cheval de Troie sur une machine, il serait alors tout aussi simple pour celui-ci de désactiver ou de contourner les règles du pare-feu. Pas besoin d’en connaitre le code, il suffit der savoir que ça existe. L’exemple des Tojan Miner est en lui même suffisamment explicite. Un lien, mais il y en a plein d’autre [https://www.malekal.com/bitcoin-monetisation-de-botnet/](https://www.malekal.com/bitcoin-monetisation-de-botnet/) Et non, il est plus facile d’ouvrir un port que de contourner un pare-feu. > [@anon70622873](#): > > Si un pare-feu est nécessaire il doit se situer entre l’Internet et le réseau local (box de l’opérateur ou machine dédiée) Ça c’est clair et c’est le minimum. Pour ce qui est des postes de travail, je reviens à ce que je disais, c’est une question de politique de sécurité donc de choix. J’applique chez moi la même chose que ce que j’appliquerais dans une entreprise et tous les PC ont un pare-feu. > [@anon70622873](#): > > Le partage de fichiers depuis un poste de travail (NFS ou Samba) n’est pas un problème s’il est correctement configuré et limité au réseau local. sauf pour des personnes comme toi ou moi ça sera peut être le cas, 95% du temps ça ne l’est pas, et pas seulement en usage domestique malheureusement. Ah et puisque tu y tiens, voici un bout de code python pour faire un listener (ce qu’est un trojan): ```auto ''' Simple socket server using threads ''' import socket import sys HOST = '' # Symbolic name, meaning all available interfaces PORT = 5500 # Arbitrary non-privileged port s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) print 'Socket created' #Bind socket to local host and port try: s.bind((HOST, PORT)) except socket.error as msg: print 'Bind failed. Error Code : ' + str(msg[0]) + ' Message ' + msg[1] sys.exit() print 'Socket bind complete' #Start listening on socket s.listen(10) print 'Socket now listening' #now keep talking with the client while 1: #wait to accept a connection - blocking call conn, addr = s.accept() print 'Connected with ' + addr[0] + ':' + str(addr[1]) s.close() ``` Pour ton coté St Thomas, comme tu peux le voir, ça ne représente pas grand chose. ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Décembre 24, 2020, 12:40 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/37 "2020-12-24T12:40:16Z")
> [@Zargos](#): > > ceci dit j’ai le mien de proxy. 😉 ---
**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\ **Post date:** [Décembre 28, 2020, 12:20 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/38 "2020-12-28T00:20:14Z")
Salut le monde ! 🙂 C’est cool tout ça, mais on s’éloigne terriblement de la Q? de départ. Les Gros Nulls comme moi qui suivent ce fil avec anxiété, dans l’attende d’au moins un début de réponse pratique, restent sur leur soif d’une solution à mettre en œuvre. Grâce à la métaphore de la maison on a compris de quoi on parle. Perso j’en suis _(après avoir lorgné quelque foufounette velue qui traînait par-là – merci ;-))_ à : - nftables -\> Installé - Exemple de conf -\> copié mais rien pigé _(ça serait pas pire en binaire)_ - service activé -\> Bien Mais là j’ai vraiment l’impression que ça tire court ! Donc à partir de là on fait quoi concrètement pour utiliser _ **nftables** _ avec des outils de nouvelle génération _(comme on ne sait déjà pas utiliser iptable ☠ )_ et si possible, faciles d’accès pour un bipède basic 🤨 L’idéal serait une interface graphique intuitive ou au moins explicite pour commencer à définir des règles simples pour _ **nftables** _ histoire de prendre sereinement la mesure du truc, et de premières bonnes habitudes. … Y-a ça dans nos dépôts ? En fouinant un peu, j’ai croisé **fwbuilder** , c’est fait pour _ **nftables** _ ?.. ça vaut le coup d’être installé ? Merci 🙂 ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 28, 2020, 1:12 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/39 "2020-12-28T01:12:25Z")
enf ait en dehors du legacy, iptables n’est « détourné » vers nftables. Donc ne te poses pas la question, fait ton iptables sans te poser de questions. En tout cas pour le moment. FWbuilder n’est plus maintenu depuis longtemps et donc n’integre plus les modifications qui ont pu avoir lieu et ce depuis de nombreuses années. personnellement pour faire plus simple que iptables, j’utilise shorewall. c’est assez simple à utiliser (bien que la moindre erreur de syntaxe soit sanctionné par un non fonctionnement). En gros, dans shorewall, comme d’aillerus dans un certain nombre de méthode liées à la sécurité tu travaille en utilisant des zones. dans une configuration simple d’un PC, il y a le PC lui-même, soit la zone `fw` puis il y a l’extérieur: `net` . Mais tu pouait avoir sur une machine à plusieurs interfaces, net pou rinternet (l’exterieur), loc pour le local, le LAN, dmz pour la zone que tu attribue à la dmz, wifi pour le réseau wifi etc… A chaque zone doit impérativement être attribué une interface (sauf pour fw evidement. une fois le fichier `zones`, tu définies l’appartenance de tes interfaces à chacune d’entre elle dans le fichier `interfaces` Ensuite tu défini les polituqe par defaut de tes zones. De base, les zones à risque (net et dmz) n’ont pas le droit d’acceder au parefeu (fw) ou au réseau local (loc, wifi, etc). cela se traduit dans un fichier `policy`. dans ce fichier tu aura en gros: ```auto fw net ACCEPT # les accès à partir du firewall (donc du pc) sont acceptées net fw DROP $LOG # les accès de l'exterieur vers le fw sont rejetté dans info (c'est à dire que les paquets sont purement et simplement ignorés) loc net ACCEPT # le reseau local a accès au net (pour un fw qui sert de routeur/passerelle) loc fw REJECT$LOG # les paquet sont rejetté avec indication (les paquet recoivent un message TCP comme quoi la connection est refusée) net loc DROP $LOG (pas d'accès de l'internet ver le reseau local) all all DROP $LOG # tous les autres cas non spécifiquement précisés sont rejettés. CETTE REGLE DOIT TOUJOURS ETRE LA DERNIERE ``` Ce ne sont que des exemples. Mais dans les packages de Shorewall il y a une documentation avec des exemple de machine à une, deux ou trois interfaces qui permettent de comprendre les principes. enfin, il ne te suffit plus qu’à faire les regles specifiques dans le ficheirs `rules` pour permettre des accès qui ne sont pas prévus par la policy. Par exemple de pouvoir accéder au fw en provenance de net en SSH: ```auto SSH(ACCEPT) net $FW ``` si le parefeu sert de serveur dhcp ```auto ACCEPT loc $FW dhcp-client ACCEPT $FW loc dhcp-server ``` Si tu prend l’exemple pour une configuration à une seule inteface, tu n’as quasiment rien à faire sauf: - mettre la bonne interfaces dans le fichiers /etc/shorewall/interfaces - mettre les éventuelles règles d’accès à ton PC pour le SSH par exemple dans le fichiers /etc/shorewall/rules - si tu as un partages, ajouter la règles ou les règles nécessaires à l’utilisation du partage en fonction du procole de partage utilisé. Dans tous les cas, chaque fois qu’une ligne sera indiqué avec des logs, tu les retrouveras (blocages ou autres) dans /var/log/syslog par defaut, ou dans un autre fichier si tu configure rsyslog ou ulogd. Même s’il est pensable que les rejets d’accès peuvent faire un volume de logs important, il faut impérativement (toujours) tracer les paquets DROP et REJECT. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 28, 2020, 2:01 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/40 "2020-12-28T02:01:13Z")
Voici les exemples pour une machine à une seule interface: /etc/shorewall/zones: ``` #ZONE TYPE OPTIONS IN OUT # OPTIONS OPTIONS fw firewall net ipv4 ``` /etc/shorewall/interfaces: ```auto #ZONE INTERFACE # net enp0s3 ``` /etc/shorewall/policy: ```auto #SOURCE ZONE DESTINATION ZONE POLICY LOG LEVEL LIMIT:BURST $FW net ACCEPT net all DROP info all all REJECT info ``` [Page précédente](https://www.debian-fr.org/t/firewall-poste-bureautique/83577.md?page=1) [Page suivante](https://www.debian-fr.org/t/firewall-poste-bureautique/83577.md?page=3)